我顺着短链追到了源头，我把“每日大赛在线观看”的链路追完了：你以为关掉就完事，其实还没结束
那天晚上刷到一条短链——标题写着“每日大赛在线观看，今晚决赛不要错过”。出于好奇，我点了。页面闪了一下，弹出一个看似正常的直播入口，但随后一连串劈里啪啦的弹窗、要求允许通知的提示，以及各种劝诱“下载App观看高清无广告”的横幅开始出现。关掉页面？关掉浏览器？以为结束了？错——我当时决定把这条短链的整个跳转链追到底，结果发现的东西，比一场普通的流量变现要复杂得多，也危险得多。
下面把过程、关键发现和给出的一套实操清理与自保方法写清楚，既能当作技术笔记，也能直接发给朋友警示。
一、短链的外衣下藏着什么
短链本身只是一个入口。它的目的并非直达真实内容，而是通过一系列跳转完成这些工作之一或多个：
- 统计与归因（谁给谁带来了多少流量，哪些渠道付费）；
- 广告变现（通过中间页展示广告、弹窗、强制点击）；
- 权限滥用（请求通知、安装PWA/应用、拉取位置等）；
- 恶意重定向（链条末端可能指向钓鱼页、安装包、或直接下载恶意软件）。
我看到的链路通常是：短链 → 重定向中转页（带埋点）→ 广告落地页（诱导点击/安装）→ 授权请求页（浏览器通知/推送）→ 最终假直播页（内容是嵌入广告或盗链视频）。
二、我是怎么一步步追查的
1) 开启开发者工具（Network，Preserve log）并跟着点短链：可以看到每个302/307跳转的Location和Response Header，能看到哪些域名参与了转发、哪些带有set-cookie。 2) 用curl/HTTPie跑短链：curl -I -L 可以直接看到整个跳转链的HTTP头，便于快速梳理关键域名。 3) 检查是否设置Service Worker或PWA：在Chrome DevTools的Application里看Service Workers、Manifest、Installed Apps。如果有，说明页面可能在后台持续存在。 4) 看Notification权限和Push订阅：Application → Notification可以查看哪些站点被授予了通知权限；Push订阅可能被用来长期骚扰。 5) WHOIS和IP追踪：对关键域名做whois和IP反查，判断是否是同一批代理域名、同一台服务器或同一托管商。 6) 分析JS代码（若不是被混淆）：有些跳转逻辑写在脚本里，通过查找document.location、window.open、iframe创建等关键字能发现隐藏流程。
三、发现的典型“套路”
- 多级域名链条：短链→中转域名A→广告域名B→最终域名C，A和B常是同一营销网络下不同子域，用来规避检测。
- Cloaking（对不同User-Agent展示不同内容）：对普通浏览器展示无害内容，对来自搜索或自动分析工具的请求则展示广告或恶意页面。
- “允许通知”诈骗：页面弹窗声称“关闭该页面将无法观看直播，请允许通知以继续”，一旦允许，日后通过系统通知持续推送垃圾广告或诈骗链接。
- Service Worker劫持与离线缓存：安装后可在浏览器后台拦截请求、持续推送内容，关闭标签页并不一定能停止它。
- 伪装下载按钮与订阅陷阱：点击“下载官方App”结果是一个包装的第三方安装程序或欺诈支付页面。
四、如果你被波及，应该怎么做（快速清理清单）
浏览器端（桌面）
- 立即在设置里撤销该站点的通知权限（Chrome：Settings → Privacy and security → Site Settings → Notifications）。
- 清除该站点的Cookie和站点数据（Application → Storage → Clear site data）。
- 在Application → Service Workers中注销并卸载任何可疑的Service Worker或已安装的PWA。
- 检查扩展程序，删除未识别或可疑扩展；可在隐身模式下打开看看问题是否复现，若不复现说明是扩展在作怪。
- 若问题严重，考虑创建新浏览器用户或重置浏览器设置。
移动端（Android/iOS）
- 检查系统通知权限，撤销可疑站点或App的权限。
- Android：检查是否有不明的WebAPK或PWA已安装，卸载它们；检查默认浏览器的站点设置。
- iOS：检查Safari设置中的“网站设置”和通知权限，删除历史记录与网站数据。
系统与账户
- 若有被诱导安装应用或输入过账号密码，立即修改相关密码，并开启多因素认证。
- 扫描设备（尤其是Android）有没有新安装的陌生应用，必要时使用可信的安全软件进行深度扫描。
- 检查银行/支付账户是否有异常交易，若有及时联系银行。
举报与阻断
- 将恶意短链/域名提交到Google Safe Browsing、浏览器厂商或国内相应平台进行标记。
- 向域名注册商或托管商提交滥用报告（一般在WHOIS能查到abuse邮箱）。
- 若涉及财产损失或诈骗，保存证据并联系当地警方报案。
五、能做些什么来预防被“链”追上
- 不轻信未知来源的短链，先用“预览/展开短链”服务或在沙箱环境里打开。
- 浏览器里安装强力广告拦截器（如 uBlock Origin）并启用防跟踪规则。
- 关闭浏览器里所有不必要的站点通知权限，常态化清理。
- 在点击链接前，把鼠标移到短链上看目标域名，或用curl/工具先检查跳转链。
- 对于需要频繁查看直播或赛事的用户，养成从官方渠道（主办方官网、官方APP或可信平台）获取入口的习惯。
结语：你以为关掉就完事，其实还没结束
短链只是出口，不是终点。它背后是一个完整的流量经济学：统计、分成、广告变现、权限滥用。一个看似无害的“在线观看”链接，可能把你带进一个能持续骚扰、推送恶意内容甚至盗取信息的生态。把链路追完，能够看清这些链条如何运作，也能更好地保护自己和周围的人。